NGN分层网络安全方案

用IP技术，其开放性特点非常适合网络业务的发展，但IP协议的开放性和公用性也使NGN不可避免地受到黑客或病毒程序的攻击或干扰。

　　随着NGN、3G、虚拟专用网络（VPN）等新业务的不断涌现，用户数量的不断增加，原Internet业务接入平面的IP承载网已无法满足要求。a）原有设备容量不足，无法满足快速增长的用户对宽带的需求和未来良好的扩展。b）原有网络在多协议标签交换（MPLS）VPN、高可靠性、QoS、组播、IPv6等诸多方面能力不足，无法承载电信级的新业务。

　　近几年，多业务IP承载网进入高速发展的黄金时期，MPLS技术与传统的IP分组技术结合，引入了基于MPLS的流量工程（MPLS TE）技术，使传统的IP分组网具备了电信级的可管理性，同时业务的承载方式也更加灵活，包括IP报文、MPLS，甚至可以对跨越不同自治系统（AS）的业务提供统一的端到端承载。传统的MPLS将面向非连接的IP业务移植到面向连接的标记交换业务之上，实现时将路由选择层面与数据转发层面分离。MPLS网络中，在入口标签交换路由器（LSR）处，分组按照不同转发要求划分成不同转发等价类前向纠错（FEC），并将每个特定FEC映射到下一跳。每一特定FEC都被编码为一个短而定长的值，称为标记，标记加在分组前成为标记分组，再转发到下一跳。在后续的每一跳上，不再需要分析分组头，而是用标记作为指针，指向下一跳的输出端口和一个新的标记，标记分组用新标记替代旧标记后经指定的输出端口转发。在出口LSR上，去除标记，使用IP路由机制将分组向目的地转发。MPLS-TE是在MPLS网络上的流量工程，是指为业务流选择路径的处理过程，以在网络中不同的链路、路由器和交换机之间均衡业务流负载。

　　多业务IP承载网分为接入层、汇聚层、核心层，通过在不同层实施局部的可靠性策略，可以分段保证网络的可靠性。相对网络节点设备的可靠性，这一扩展技术可以在无需大幅度提高对网络设备要求的情况下，显著提高业务的可靠性。在接入层，推荐采用冗余备份或负载分担接入策略，将业务系统设备（如媒体网关、CE设备）双归接入到两台PE设备上。在汇聚层和核心层，推荐采用双节点冗余备份策略，当某节点发生故障时，备份节点可以保证业务不间断转发。对于核心层的链路连接，采用POS接口进行Full Mesh连接。POS接口具有类似同步数字体系（SDH）的快速故障检测机制，而Full Mesh连接方式可以保证任何单链路发生故障时，由于流量迂回而增加的网络跳数不超过一跳。

　　网络设备是组成多业务IP承载网的基本节点，其可靠性是整网可靠性的基础。主流网络设备的关键部件包括主控单元、交换单元、电源、制冷系统等，大多采用热备份冗余设计，这是保证电信级IP承载网可靠性的最基本要求。接口、线路卡的快速故障感知和倒换功能同样非常重要。由于传统的Ethernet接口承载的纯数据业务对时延不敏感，因此普遍未采用特别的故障检测技术，接口故障的探测时间在1s级别，这显然无法满足VoIP等实时电信业务的要求。于是，业界纷纷推出双向侦测协议（BFD）、运行维护和管理（OAM）等快速检测机制，通过与线路卡控制部分联动，使接口或链路故障的感知时间小于50ms。

3、控制核心层的安全

　　控制层是整个NGN的核心层，其中的设备对整个网络起着中央控制的作用。目前，设备生产厂商一般能通过板卡级冗余备份保证单一设备的可靠性。在此基础上，各个运营商还会从网络层面保证网络可靠性，从而最大可能避免单点故障。对用户而言，网络永远处于可用状态，网络核心控制设备的单点故障对用户不可见。

　　软交换网络的特点是：在软交换网络中，为了保证出局或入局呼叫的正常接续，任何一个接点的软交换设备都会设置主备用路由，当软交换网络采用分级结构时，网络结构与公共交换电话网络（PSTN）的网络架构相同，端局软交换分别与两个汇接局相连。软交换也可以采用无级网络，此时路由信息将从软交换设备中剥离出来，统一放置在一个单独物理设备中，称为路由服务器。在无级网络中，网络中任何一个软交换都能得到其他软交换的地址信息，因此，主叫侧软交换将直接向目的地软交换发起呼叫请求。这时，针对某一号码段主备软交换的信息设置将保留在路由服务器中。

软交换网络的最大优点在于软交换网络采用分层架构，将原来统一内置在一个物理实体中的媒体处理模块和信令处理模块独立分开。媒体处理模块在软交换网络中称为媒体网关设备（MG），信令处理模块称为软交换设备。因此，在分层基础上，软交换网络可以具备以下能力：当某一软交换设备不能工作时，其下控制的媒体网关设备可以通过某种策略